Im Oktober 2026 wurden mit „PHP2Shell“ zwei kritische Schwachstellen in PHP bekannt, der Programmiersprache, auf der ein großer Teil aller Webanwendungen weltweit basiert – darunter TYPO3, WordPress, Drupal und Nextcloud. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat dazu einen IT-Sicherheitshinweis mit der Kritikalität „Orange“ veröffentlicht (Stand 22. Oktober 2026): Maßnahmen müssen unverzüglich ergriffen werden.
Was passiert ist
Die Schwachstellen CVE-2026-109618 und CVE-2026-109619 werden mit 9,2 von 10 Punkten bewertet und in Fachkreisen als „PHP2Shell“ bezeichnet – in Anlehnung an „Log4Shell“. Laut BSI sind alle bekannten PHP-Versionen bis mindestens PHP 5 betroffen. Angreifer könnten aus der Ferne Schadcode auf Webservern ausführen, ohne Anmeldung und ohne Zutun von Nutzer:innen. Die PHP-Entwickler haben am 21. Oktober 2026 Patches veröffentlicht. Geschlossen sind die Lücken ab den Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Vollständigen Schutz bieten laut BSI nur das Patchen oder die Trennung vom Internet; Regeln in einer Web Application Firewall überbrücken höchstens die Zeit bis zum Update.
Wie wir reagiert haben
Wir betreiben eine Reihe kritischer Systeme für unsere Kunden und für eigene Produkte. Wir haben sofort reagiert: Alle gefährdeten Systeme wurden offline genommen, gepatcht und erst danach wieder ans Netz gebracht. Dass das schnell und geordnet gelingt, ist kein Zufall, sondern das Ergebnis von Abläufen, die wir für genau solche Fälle vorbereitet haben.
Das neue Normal
Wir gehen davon aus, dass wir uns in einem neuen Normal befinden: Sicherheitsprobleme wie dieses werden in schnellerer Folge auftreten und größere Auswirkungen haben. Der Grund ist, dass Lücken in Standards und Programmierungen mithilfe von KI leichter gefunden und ausgenutzt werden können als je zuvor.
Der aktuelle Fall zeigt beide Seiten: An der Entdeckung der Schwachstellen waren nach Angaben des BSI Sicherheitsforscher gemeinsam mit OpenAI beteiligt. Gleichzeitig hält das BSI fest, dass Angreifer mit KI-gestützten Werkzeugen Patches in kurzer Zeit analysieren und daraus Exploits erzeugen können. Zwischen der Veröffentlichung eines Patches und den ersten Angriffen bleiben damit oft nur noch Stunden.
KI gegen KI: schnell und flexibel reagieren
Bekämpfen lässt sich diese Entwicklung nur mit Systemen und Abläufen, die ihrerseits KI nutzen – um in ausreichender Geschwindigkeit und mit der nötigen Flexibilität reagieren zu können. Wer Schwachstellen in Stunden bewerten, betroffene Systeme identifizieren, Patches einspielen und alles nachvollziehbar dokumentieren muss, kommt mit rein manuellen Prozessen nicht mehr hinterher.
Die TPWD AG passt ihre Strukturen seit geraumer Zeit auf diesen Fall an. Das Rückgrat dieser Entwicklung ist srfce: ein KI-natives System für Projektmanagement und Dokumentation, das zugleich das Verhalten von KI steuert – auf Basis fester Anforderungen, technischer und inhaltlicher Leitplanken sowie unserer Erfahrungswerte.
Der Mensch bleibt verantwortlich
KI beschleunigt Analyse, Umsetzung und Dokumentation. Entscheidungen und Freigaben bleiben aber bei erfahrenen Menschen. Gerade unter Zeitdruck braucht es klare Zuständigkeiten: Wer bewertet das Risiko, wer entscheidet über das Abschalten eines Systems, wer gibt die Rückkehr in den Betrieb frei? Die Leitplanken in srfce sorgen dafür, dass KI innerhalb dieser Rollen arbeitet – und nicht an ihnen vorbei.
Altsysteme sind das größte Risiko
Das BSI weist darauf hin, dass weltweit noch sehr viele verwundbare Systeme erreichbar sind – oft, weil sie ihr End-of-Life längst erreicht haben und gar keine Updates mehr erhalten. Gegen solche Lücken hilft kein Patch. Wer Systeme über viele Jahre betreibt, braucht deshalb eine Lebenszyklus-Planung: rechtzeitige Updates der Plattform, geplante Migrationen und den Mut, Altlasten abzulösen, bevor sie zum Risiko werden.
Betrieb ist eine Daueraufgabe
Sicherheit entsteht nicht im Launch, sondern im laufenden Betrieb (mehr dazu unter Datenschutz & Sicherheit): durch Monitoring, eingeübte Abläufe, Bereitschaft im Ernstfall und eine transparente Kommunikation mit allen Beteiligten. Fälle wie PHP2Shell zeigen, wie wichtig es ist, diese Strukturen vorbereitet zu haben, bevor sie gebraucht werden.
Eine Branche im Wandel
Unsere Branche befindet sich in einem tiefgreifenden Wandel. Unsere jahrzehntelange Erfahrung in der Planung und im Betrieb umfangreicher Systeme und eigener Produkte hilft uns dabei, die zentralen Herausforderungen zu erkennen und funktionierende Lösungen in hoher Geschwindigkeit zu entwickeln.
